IOC

🔍 Contexte Article publié le 4 avril 2026 par Luke Jennings (VP R&D, Push Security) sur le blog pushsecurity.com. Il s’agit d’une analyse technique approfondie de la montée en puissance du device code phishing, une technique d’usurpation de compte exploitant le flux OAuth 2.0 Device Authorization Grant. ⚡ Technique d’attaque Le device code phishing abuse du flux OAuth 2.0 conçu pour les appareils à entrée limitée. L’attaquant génère un code de périphérique (requête unauthentifiée), le transmet à la victime via phishing, et récupère des tokens d’accès et de rafraîchissement une fois que la victime entre le code sur la page légitime du fournisseur. Cette technique contourne les mots de passe, le MFA et les passkeys. Les cibles principales incluent Microsoft, Google, Salesforce, GitHub et AWS. ...

📰 Contexte Publié le 2 septembre 2026 par Bill Toulas sur BleepingComputer, cet article rapporte la divulgation d’une vulnérabilité critique d’injection SQL affectant le plugin WordPress All-in-One WP Migration and Backup, développé par ServMask. Le plugin compte plus de 5 millions d’installations actives. 🔍 Détails de la vulnérabilité CVE : CVE-2026-19949 Type : Injection SQL de second ordre (second-order SQL injection) Sévérité : Haute Versions affectées : All-in-One WP Migration and Backup jusqu’à la version 7.109 incluse Version corrigée : 7.110 (publiée le 20 août 2026) Découvreur : Jack Taylor, signalé via Wordfence (branche cybersécurité de Defiant) le 15 août 2026 ⚙️ Mécanisme d’exploitation La faille résulte d’un traitement incorrect des barres obliques inversées et des guillemets échappés lors de la réécriture du contenu de la base de données pendant la restauration d’une archive. ...

🔍 Contexte Publié le 8 avril 2026 par Aikido Security, cet article présente une analyse technique d’une nouvelle technique du groupe GlassWorm, suivi depuis mars 2025. Ce groupe est connu pour ses campagnes ciblant les développeurs via des packages npm malveillants, des extensions VS Code et des extensions Chrome. 🎯 Vecteur d’infection initial L’extension code-wakatime-activity-tracker publiée sur OpenVSX imite fidèlement l’extension légitime WakaTime (commandes, icônes, prompts API key). La divergence se situe dans la fonction activate() qui charge un binaire natif compilé en Zig avant toute logique WakaTime : ...

🗓️ Contexte Publié le 4 septembre 2026 par Pierluigi Paganini sur Security Affairs, cet article rapporte la publication d’une mise à jour de sécurité Chrome corrigeant 12 vulnérabilités, dont un zero-day activement exploité. 🔍 Vulnérabilité principale CVE-2026-85046 (CVSS : 8.8) est une faille de type confusion dans le moteur V8 (JavaScript/WebAssembly de Chrome). Elle permet à un attaquant distant d’exécuter du code arbitraire dans le sandbox du navigateur via une page HTML spécialement conçue. ...

🔍 Contexte Publié le 1er septembre 2026 par István Márton sur le blog Wordfence, cet article détaille une vulnérabilité critique découverte le 14 août 2026 dans le plugin WordPress All-in-One WP Migration and Backup, qui compte plus de 5 millions d’installations actives. 🐛 Vulnérabilité Type : Injection SQL de second ordre non authentifiée (Second-Order SQL Injection) CVE : CVE-2026-19949 Score CVSS : 8.8 (High) Versions affectées : toutes les versions jusqu’à 7.109 incluse Version corrigée : 7.110 Composant vulnérable : fonction replace_table_values() dans la classe Ai1wm_Database, dont l’expression régulière mal construite ('(.*?)(?<!\\)') ne gère pas correctement les séquences de backslashes pairs, provoquant une confusion de délimiteur de chaîne SQL. ⚙️ Mécanisme d’exploitation L’exploitation se déroule en plusieurs étapes : ...

🔍 Contexte Publié le 7 avril 2026 par Mohideen Abdul Khader F sur le blog de recherche Trellix, cet article présente une analyse technique approfondie du botnet Masjesu, une menace IoT commerciale active depuis début 2023 et toujours en évolution en 2026. 🎯 Nature de la menace Masjesu est un botnet IoT à vocation commerciale, proposé en tant que service DDoS-for-hire principalement via Telegram. Il cible une large gamme d’appareils IoT (routeurs, passerelles, équipements embarqués) sur de multiples architectures : i386, MIPS, ARM, SPARC, PPC, 68K et AMD64. Le botnet est conçu pour la furtivité et la persistance à long terme, en évitant délibérément les plages IP du Département de la Défense américain (DoD). ...

🗓️ Contexte Article publié le 1er septembre 2026 sur KrebsOnSecurity. Brian Krebs rapporte la découverte d’un nouveau service criminel d’usurpation d’identité apparu sur le forum cybercriminel russophone Exploit le 31 août 2026. 🎯 Le service Nexus Le service, dénommé Nexus, propose à la vente des scans numériques de documents d’identité : 153 millions+ de permis de conduire (États-Unis et Canada) 10 millions+ de cartes d’identité 3 millions+ de documents de voyage / ID internationaux 579 000+ cartes médicales Le volume de données augmente d’environ 400 000 enregistrements par 24 heures, indiquant une exfiltration active et continue. Les opérateurs affirment exfiltrer des données depuis plus d’un an. Chaque enregistrement comprend jusqu’à six fichiers image (recto/verso, infrarouge, ultraviolet) avec horodatage. ...

🌐 Contexte Publié le 3 septembre 2026 par Hunt.io, cet article de recherche CTI documente une campagne d’intrusion attribuée à un opérateur sinophone non nommé, distincte d’une précédente campagne publiée en juillet 2026. La divulgation a été faite sous TLP:AMBER aux CERTs nationaux concernés avant publication. 🎯 Cibles identifiées Archives du Parti Kuomintang (KMT) à Taïwan Ministère des Affaires étrangères d’Indonésie Gouvernement du district de Fengtai (Pékin, Chine continentale) Plateforme IA éducative chinoise et système de carte universitaire Systèmes industriels à Da Nang, Vietnam Opérateur télécom afghan (reconnaissance réseau) 🤖 Infrastructure IA offensive : SecFlow L’opérateur a déployé SecFlow, un framework d’orchestration IA qui répartit les tâches de reconnaissance, exploitation, collecte et reporting entre des workers spécialisés utilisant Claude (ACP), Qwen Code et DeepSeek. Les modèles sont interchangeables sans modifier l’interface de tâche. Des endpoints privés sous niestools.com proxifient le trafic vers les modèles. ...

🔍 Contexte Publié le 31 août 2026 par The Cyber Express, cet article rapporte la publication par PaperCut d’un second patch d’urgence (Emergency Patch Release 2) pour deux vulnérabilités zero-day activement exploitées dans ses produits PaperCut NG et MF (serveurs de gestion d’impression). 🐛 Vulnérabilités identifiées Les deux failles fonctionnent en chaîne : CVE-2026-81578 (CVSS 8.8) : Contrôle d’accès inapproprié dans l’interface web d’administration de PaperCut, permettant à des requêtes distantes non authentifiées d’atteindre des fonctions administratives avant la fin de la validation d’accès. CVE-2026-82078 (CVSS 9.4) : Chargement dynamique de classes non sécurisé dans les utilitaires de base de données, permettant l’exécution de bytecode Java arbitraire dans le processus du serveur applicatif. Combinées, ces deux failles permettent une exécution de code à distance pré-authentification sur un serveur exposé sur Internet. ...

🔍 Contexte Publié le 3 septembre 2026 par Huntress (blog officiel), cet article détaille une campagne active observée fin août 2026 impliquant des clients ScreenConnect compromis et modifiés, utilisés pour propager une chaîne d’attaque multi-étapes à travers des organisations non liées. 🎯 Vecteur initial et propagation Les incidents débutent tous par de l’ingénierie sociale : Abus de Quick Assist (outil Windows légitime) dans le cadre de faux supports techniques Phishing conduisant au téléchargement de ScreenConnect.ClientSetup.msi Recherche d’un formulaire Geek Squad menant à l’exécution de ScreenConnect.Client.exe Une fois le client ScreenConnect malveillant installé, il exécute wscript.exe de manière répétée pour lancer quatre fichiers VBScript (1.vbs, 2.vbs, 3.vbs, 4.vbs). Le comportement vermiforme repose sur des clients ScreenConnect modifiés qui, lors de nouvelles connexions Host, transfèrent et exécutent automatiquement ces quatre scripts sur les endpoints nouvellement connectés. ...